Aanvallers achter Petya-ransomware hebben inloggegevens van beheerder gestolen
De aanvallers achter de aanval met de Petya-ransomware hebben misbruik gemaakt van de inloggegevens van een beheerder van M.E.Doc. Dit gaf hen de mogelijkheid toegang tot een server van M.E.Docs en de mogelijkheid de ransomware te verspreiden naar klanten van M.E.Doc.
Dit meldt de Talos Security Intelligence and Research Group, de cyber threat intelligence divisie van Cisco. Talos heeft van M.E.Doc toegang gekregen tot de logbestanden en code van de server waarmee de ransomware verspreid blijkt te zijn. “Een onbekende actor heeft de inloggegevens van een beheerder bij M.E.Doc gestolen. Zij logde in op de servers, verkregen rootrechten en hebben het configuratiebestand voor de NGINX webservers aangepast. We zijn niet in staat geweest het nginx.conf bestand te herstellen, aangezien het is overschreven. Additionele logbestanden waren van belang om te begrijpen wat is gewijzigd”, schrijft Talos in een blogpost.
Verkeer omleiden naar malafide server
De NGINX server was volgens Talos geherconfigureerd zodat al het verkeer naar upd.me-doc.com.ua werd omgeleid naar een server die onder beheer stond van de aanvallers. Het gaat hierbij om een host in de OVH IP-space met het IP-adres 176.31.182.167. Vervolgonderzoek toonde aan dat deze server werd beheerd door een reseller, thcservers.com, en dat de server diezelfde dag om 7:46 PM UTC werd gewist”, meldt Talos.
Na de aanval zijn de wijzigingen in het configuratiebestand van de webserver van M.E.Doc ongedaan gemaakt. Logbestanden tonen aan dat de ransomware gedurende drie uur en twintig minuten naar klanten van M.E.Doc is verspreid. Hiervoor is gebruik gemaakt van een backdoor die aanwezig was in verschillende updates van M.E.Doc.
Supply-chain aanval
Talos stelt dat het gaat om een ‘supply-chain aanval’. Hierbij worden grote organisaties niet direct aangevallen, maar via vertrouwde hardware of software leveranciers. Talos waarschuwt bedrijven van iedere omvang en uit iedere geografische regio extra alert te zijn op dit soort aanvallen.
Dossiers
Meer over
Lees ook
Cybercriminelen verstoppen malware in populaire Android games
Cybercriminelen hebben een backdoor trojan vermomd als populaire arcade games zoals Plants vs Zombies, Candy Crush en Super Hero Adventure. De software werd aangeboden in de officiële Google Play Store. Slachtoffers die één van de games dachten te downloaden installeerden in werkelijkheid ongemerkt malware op hun Android smartphone of tablet. ESET1
AT&T klaagt ex-werknemers en bedrijf aan wegens malware en datadiefstal
De Amerikaanse telecomprovider AT&T klaagt drie voormalig medewerkers aan wegens de diefstal van codes om smartphones simlockvrij te maken. Ook het Amerikaanse bedrijf Swift Unlock is aangeklaagd, aangezien zij deze gestolen codes volgens AT&T hebben gebruikt. GeekWire meldt dat AT&T de ex-werknemers, die werkzaam waren bij de klantens1
Malware dringt door in Apple’s App Store
Voor het eerst zijn cybercriminelen erin geslaagd op grote schaal malware in de App Store te krijgen. Het bedrijf heeft een groot aantal apps verwijderd waarin de ‘Xcodeghost’ malware verstopt zat. Apple meldt aan Reuters dat de malware is gericht op Chinese gebruikers. Ontwikkelaars maken gebruik van Xcode om apps voor iPhones en iPads te ontwikk1